Почему галочка «Я согласен» — это ещё не основание
Закон разрешает обработку персональных данных только при наличии основания, и согласие — лишь одно из них. Наряду с ним основанием могут быть исполнение договора, обязанность, возложенная на оператора, и другие ситуации, прямо описанные в законе. Поэтому вопрос «есть ли у нас правовые основания обработки ПДн» шире, чем «стоит ли галочка под формой».
Путаница начинается там, где данные собраны для одной цели, а используются для другой: заявка на консультацию превращается в рекламную рассылку, а «программа лояльности» — в передачу контактов партнёрам. Обработка, несовместимая с заявленной целью сбора, — самостоятельный эпизод риска, а не техническая мелочь.
- Форма и политика называют одну и ту же цель сбора — или формулировки расходятся
- Согласие отделено от согласия с офертой и другими условиями, а не спрятано в общий текст
- Есть понятный путь отозвать согласие, а не только дать его
- Поля формы не шире цели: сайт не собирает данные «на будущее»
Правовые основания обработки ПДн: где они должны быть видны на сайте
Основания и цели обычно описаны в политике обработки персональных данных. На сайте она должна быть опубликована и доступна до того, как посетитель начнёт вводить данные, — ссылка из формы и из баннера, а не только строчка в подвале. Отсутствие опубликованной политики — сама по себе претензия регулятора, безотносительно того, что ещё найдётся на страницах.
Основание подтверждает не один документ, а их связка: текст согласия под конкретную форму, договор-оферта, реквизиты оператора — наименование, ИНН, ОГРН, контакты. Если в документах указан один оператор, а данные фактически собирает другая компания, посетителю это не видно, и для проверки это отдельный эпизод.
Есть и то, что на сайте не видно вообще. У оператора существует обязанность уведомить Роскомнадзор о намерении обрабатывать персональные данные, но по страницам сайта её соблюдение не проверить: это сопоставление документов сайта с реестром, а не осмотр баннера. Поэтому честный вывод по такому пункту — «требует дополнительной проверки», а не «нарушение».
Что сайт делает до того, как вы нажали «Принять»
Баннер о cookie и текст политики — это заявление о намерениях. Реальность видна в сетевых запросах: аналитика, рекламные пиксели, карты, внешние шрифты и чаты могут стартовать ещё до того, как посетитель сделал выбор. Пока согласия нет, а данные уже уходят, основание для этой обработки неочевидно.
Ранний запуск трекера — это технический сигнал и повод для дополнительной проверки, а не готовый вывод о нарушении: квалификация зависит от того, какие именно данные уходят и кому. Но именно такие эпизоды чаще всего становятся предметом разбирательства, потому что заявление на экране и поведение сайта расходятся.
Отдельно стоит смотреть на качество самого баннера. Если кнопка отказа визуально слабее кнопки согласия, если отказ ведёт к повторному вопросу или если нет настройки категорий, выбор посетителя фактически отсутствует — а значит, и согласие как основание выглядит слабо.
Если данные уходят за рубеж: отдельное основание и отдельное уведомление
Иностранная аналитика, авторизация через зарубежные сервисы, внешние CDN и чаты могут означать трансграничную передачу персональных данных. Критерии стран, в которые такая передача допустима, уточнялись, и обязанность уведомить Роскомнадзор до начала передачи сохраняется. Это тот случай, когда «мы просто поставили счётчик» превращается в отдельную правовую линию.
Вторая линия — требование хранить персональные данные граждан России в базах на территории страны. Через публичные страницы видно не всё: серверную часть и фактическое размещение баз осмотр сайта не показывает. Это прямо входит в пределы проверки — такие обстоятельства описываются как требующие дополнительной проверки, а не как установленный факт.
Наконец, вход на сайт через иностранный сервис: пользователь отдаёт данные третьей стороне, часто не понимая этого, а оператор получает идентификатор, который дальше связывает с профилем. Такой сценарий создаёт риск обработки без должного основания и заслуживает отдельного пункта в плане исправлений.
Как проверить свой сайт и что исправить первым
Самая быстрая проверка ничего не стоит: откройте сайт в приватном окне, без старых cookie, и посмотрите, что происходит до первого клика. Дальше пройдите по документам — политика, согласия, оферта, реквизиты — и сверьте, что в них один и тот же оператор и одна и та же цель сбора. Уже на этом шаге обычно видно несколько расхождений.
Дальше начинается то, что глазами не оценить: какие именно запросы уходят с загруженной страницы, стартует ли аналитика до согласия, куда ведут внешние сервисы. Именно здесь появляется доказательная часть: снимки экрана, дословные цитаты из документов, время фиксации. Dobrolex собирает эту картину по публичным страницам и оформляет её в заключение с фактами, серьёзностью каждого эпизода и очерёдностью исправлений.
Важно правильно читать результат. Если эпизодов не найдено, это значит, что на осмотренных публичных страницах признаков нарушений нет, — и это не гарантия соответствия закону целиком: закрытые разделы, серверная часть и внутренние процессы в такую проверку не входят. Отчёт не заменяет консультацию юриста и не является обращением в Роскомнадзор.
Что можно проверить самому прямо сейчас
- 01Чистая сессия. Откройте сайт в приватном окне и посмотрите, что загружается до нажатия «Принять»: появляется ли баннер до трекеров или после.
- 02Равнозначный отказ. Есть ли рядом с согласием кнопка отказа и настройка категорий, или отказаться можно только уйдя со страницы.
- 03Согласие под форму. Рядом с полями формы есть свой текст согласия с целью сбора — или только общая галочка с ссылкой на политику.
- 04Политика до ввода данных. Ссылка на политику обработки персональных данных доступна из формы и из баннера, а не только из подвала.
- 05Один оператор. Наименование, ИНН, ОГРН и контакты в политике, оферте и подвале совпадают между собой.
- 06Цель и поля. Проверьте, нет ли в форме полей, которые не нужны для заявленной цели сбора.
- 07Зарубежные сервисы. Есть ли на странице карты, внешние шрифты, чаты и кнопки входа через иностранные сервисы — это кандидаты на трансграничную передачу.
Что говорит закон
ч. 1 ст. 13.11 КоАП РФ
Обработка персональных данных без законных оснований или несовместимо с целями сбора — штраф для юрлиц от 150 000 до 300 000 ₽.
Первоисточникч. 2 ст. 13.11 КоАП РФ
Обработка без письменного согласия, когда оно обязательно, или с нарушением требований к согласию — штраф для юрлиц от 300 000 до 700 000 ₽.
Первоисточникч. 3 ст. 13.11 КоАП РФ
Не опубликована политика обработки персональных данных — штраф для юрлиц от 30 000 до 60 000 ₽.
Первоисточник265-ФЗ от 26.07.2026, ст. 12 152-ФЗ
Уточнены критерии стран для трансграничной передачи персональных данных; уведомлять Роскомнадзор до начала передачи по-прежнему обязательно.
Первоисточник
Пример из отчёта
Крупный интернет-магазин электроники
Выявлен 1 эпизод с признаками нарушения и 1 обстоятельство, требующее дополнительной проверки.
- — Cookie-баннер «Сайт использует cookies… Понятно» без кнопки отказа и без настройки категорий
- — Реквизиты оператора есть в правовых документах, но отсутствуют в футере сайта
- — Рекомендация: добавить в баннер равнозначную кнопку отказа или настройки с отключением необязательных cookie
Частые вопросы
Что относится к правовым основаниям обработки ПДн?
Согласие субъекта, исполнение договора, обязанность, возложенная на оператора законом, и другие ситуации, прямо описанные в законе. Согласие — не единственный и не всегда обязательный вариант, поэтому проверять нужно не наличие галочки, а соответствие основания цели сбора.
Достаточно ли одной галочки «Я согласен» под формой?
Как правило, нет. Согласие должно быть конкретным и предметным: понятная цель, перечень данных, отдельный текст под конкретную форму. Одна галочка, покрывающая сразу рассылку, обработку заявки и передачу партнёрам, — типичный эпизод риска.
Обязательно ли публиковать политику обработки персональных данных?
Да, это обязанность оператора, и её отсутствие — самостоятельное основание для претензий, независимо от того, что ещё найдётся на сайте. Важно и то, чтобы документ был доступен до ввода данных, а не только в подвале.
Трекеры стартуют до нажатия «Принять» — это уже нарушение?
Это технический сигнал и повод для дополнительной проверки, а не готовый вывод. Квалификация зависит от того, какие данные уходят и каким сервисам; в отчёте такой эпизод описывается как риск и связывается с нормой.
Нужно ли уведомлять Роскомнадзор и как это проверить?
Обязанность уведомить регулятора о намерении обрабатывать персональные данные существует; при трансграничной передаче уведомление направляется до её начала. По страницам сайта это не проверяется — нужны сопоставление документов и отдельная проверка, поэтому в заключении такой пункт идёт как требующий уточнения.
Чем это грозит, если ничего не менять?
КоАП предусматривает санкции для организаций, и размер зависит от состава: одно дело — неопубликованная политика, другое — обработка без основания или без письменного согласия, когда оно обязательно. В отчёте каждый эпизод связывается с нормой, а диапазон санкций выводится со ссылкой на первоисточник.
Можно ли обойтись самостоятельной проверкой по чек-листу?
Базовые вещи — да: видимость политики, качество баннера, состав полей, совпадение реквизитов. Чего чек-лист не даёт — фиксации: сетевые запросы, дословные цитаты и время осмотра остаются недокументированными, а именно на это опирается разбор эпизода.
Материал носит информационный характер и не заменяет консультацию юриста. Нормы приведены со ссылками на первоисточник; редакции нужно сверять на дату использования.